В Друпал 4.6 в файле settings.php была такая настройка

ini_set('session.use_only_cookies', 1);

Если здесь поставить 0, то сессия начинала работать при отключенных кукисах.

Начиная с Друпал 4.7 эта настройка перестала работать.

Поэтому я решил, что дело всё-таки в движке.